Expondo recursos do meu servidor doméstico

Question

Eu tenho um pequeno VPS (Ubuntu 16.04) que eu uso para hospedagem de alguns sites pessoais, ownCloud, etc. É bastante lento e não tem muito armazenamento. Eu gostaria de transferir o armazenamento ownCloud e o banco de dados MySQL, basicamente qualquer recurso intensivo, para o meu servidor doméstico (Ubuntu 17.10), sem abrir minha rede doméstica mais do que o absolutamente necessário.

Qual é a melhor maneira de fazer isso do ponto de vista de segurança? Existem três opções que posso pensar:

1. Exponha o MySQL e o NFS em portas fora do padrão, todos os firewalls, exceto o IP do VPS.
2. Estabeleça um túnel SSH, direcione todo o tráfego do MySQL e do NFS pelo túnel.
3. Configurar uma VPN, idem.

Minha preocupação no caso de 2 e 3 é que, se meu VPS for comprometido, posso acabar expondo mais da minha rede doméstica que pretendo - é o VPS que decide a que portas / IPs remotos ele irá encapsular, uma vez que o túnel esteja configurado, qualquer atacante pode adicionar novos túneis.

    

Answer 1

A opção 3 (e a opção 2 é um caso especial da Opção 3) é claramente o caminho a percorrer.

Ele oferece mais segurança do que a opção 1, e você não corre mais risco de comprometer seu servidor doméstico, então você usaria a opção 1, mas pode ter certeza de que os dados estão criptografados, ao contrário da opção 1, que é muito fraca. versão da segurança através da obscuridade.

Uma maneira de lidar com isso é configurar VPSs apropriados no meu servidor doméstico e, portanto, se o VPS externo estiver comprometido, e eles poderiam de alguma forma aproveitar esse comprometimento para fornecer acesso elevado ao seu servidor doméstico - eles ainda estar em uma VM.